令和 5 年 2 月 8 日
学術認証運営委員会
トラスト作業部会

2022 年度学認参加 IdP 運用状況調査 総評
1 評価結果
調査への回答機関数は 271 件です。適切な運用を行っている機関が 264 件となり、全体として良好な運用レベルです。一方、安定した運用のためには規程類の整備等が必要とみられる機関が 7 件みられました。
本調査の評価は、前年度同様、下記の基準で実施しました。
1. 運用の統制（Control）。特に規則による統制
2. 運用アイデンティティの運用管理（アカウントのライフサイクル管理）
3. システムの構成管理（config の適切な管理）
4. パスワード（クレデンシャル）の管理
5. 設定ファイルの管理体制について
6. Shibboleth IdP の運用に関わるミドルウェア群のアップデート状況
7. Shibboleth IdP version 3 系統が EOL を迎えたことによる、version 4 系統へのアップグレー
ド状況
この基準に従って、組織全体として IdP 運用のレベルが保たれているか、すべての機関の回答を個別に精査しました。学認参加機関全体として、おおむね良好な IdP 運用が行われていると判断することができます。
総じて前年度調査に続き、高い水準で IdP が運用されていたことが読み取れました。回答の傾向も、昨年からかけ離れたものはありませんでした。また、前年度 B 評価だった機関のうち、3 件が今回の調査で A 評価を取得しています。学認参加の各機関には、引き続きの運用をお願いいたします。

1

機関数
A 評価

264

B 評価

72

2 ガバナンス（規程の作成状況）
全学のセキュリティポリシーについては、247 件と 90％近くの大学で制定済みですが、定められていないとの回答が 24 件ありました(Q30)。なお、IdP 運用に関するセキュリティポリシーついては 81 件（30％）が定められているとの回答でした(Q31)。
多くの機関において、利用者 ID の管理体制や全学的なセキュリティポリシーが整備されています。その基盤の上になりたって IdP が適切に運用されていることが読み取れます。Q8 において、こちらから提示した規程が整備されているとの回答はあわせて 183 件ですが、その他と回答した 11 件についても、そのうちいくつかは他のなんらかの規程に準拠して運用されています。前年度調査の結果に続き、半数以上の機関で整備されていると読み取ることができます。

Q-8

Q-30

3Q-3143 テクニカルなこと
ID の運用状況（TRUSTED DB と直結しているかどうか）
利用者 ID のソースとして、91％の機関で Trusted DB もしくは部局が責任をもって運用している DB をもとにしており、適切なユーザ管理がなされていることが読み取れます(Q9)。また、「その他」との回答においても、多くが書類による申請を実施していることが読み取れました。
上記以外の手法での ID 管理は、今後の ID 数の増加、保持させる属性情報の増加に比例してその手間も増えていくという弱みを内包するものになります。スケーラビリティの観点から、ID 管理を Trusted
DB に直結する形で行えるよう、事務フローや管理規則の整備をお勧めしたいと思います。
ゲスト/臨時アカウントについては、いくつかの機関において、前年度同様、情報系センター長の権限で発行できる体制があることが報告されました(Q10 自由記述)。記録を残す等、権限の適切な制御を併せてお願いしたいと思います。

Q-9Q-105

属性保証
属性情報については、ほとんどの機関において、Trusted DB の属性のみから計算(Q15)されていたり、他組織の属性は付与しない体制（Q14 自由記述より）となっており、技術運用基準 3.2 は正しく守られていると言えます。
また今回も、前年度調査に引き続き、o と eduPersonAffiliation の状況に着目しました。両属性は、85％以上の機関で組織として保証されていますが、「保証していない」としている機関がそれぞれ15％程度残っています。学認の IdP は機関ごとに設置して参加申請されており、機関名は IdP として保証するべきです。送出できるよう設定してください。また実際に SP に送出し利用しているか否かにかか わ ら ず 、 送 出 可 能 で あ れ ば 「 保 証 し て い る 」 と 回 答 し て く だ さ い 。 "faculty" ， "staff" ，"student"，"member"など、利用者の職位を表す eduPersonAffiliation についても同様です。

Q-15

6パスワードポリシー
ID の再利用については、ごく少数のルールが定められていない機関を除き、再利用はないとの回答でした (Q19)。ID とクレデンシャルの配付については、本人確認を行うなど、各機関とも適切な運用が確立されています(Q20 自由記述より)。
共有 ID の禁止に関しても、各機関にて、規定での禁止、セキュリティ面からの啓蒙活動や、共有しなくても業務を行えるような運用が行われていることが読み取れました(Q21 自由記述より)。
パスワードポリシーについては、93％の機関でパスワードポリシーがある、6％の機関でポリシーはないが啓蒙活動はしている、との回答でした(Q22)。

Q-19

Q-227その他
ログの保存期間については、多くの大学が最低 3 ヶ月から 1 年以上保存する運用となっています。学
認技術運用基準にて推奨する 3 ヶ月より短い保存期間を設定している機関はありませんでしたが、「定められていない」との回答がまだ一部みられます。3 ヶ月以上の最低保存期間を定めていただきた
いと思います(Q29 自由記述より)。

84 プライバシー（プライバシーに関係すること）
IdP から送信される個⼈情報については、5 件を除き、関係する法令に従うように運用されています(Q25)。「関連する法令その他に従うようには運用されていない」と回答した 5 機関については法令に従うよう働きかけていきます。
また、プライバシーについて具体的な規則を制定している機関は前年から微増の 63％(Q26)、
uApprove もしくは Shibboleth IdP に搭載された属性リリース同意取得機能を利用していると回答した
機関は 178 件（約 65％）でした(Q27)。
個人情報保護については、いずれも前年とほぼ同水準を維持していました。

Q-25

Q-26

9Q-27

105 利用者 ID のクレデンシャル
利用者 ID として利用している主なクレデンシャルの種類（Q38）としては、そのほとんど、87%がパスワードであるとの回答でした。また電子証明書による認証や、パスワードベースの多要素認証が導入されています。「4.その他のクレデンシャル」との回答には学外からの認証についてパスワードベースの多要素認証を必須としている旨記述がありました。また 1 や 3 の回答の補足事項には、一部の成員やシステムに対して電子証明書・FIDO2・TOTP などの多要素認証を行っているとの記述も見られました。段階的に多要素認証が展開されている様子が伺えます。
Q44 は、クレデンシャルの安全性を実現するために実施している取り組みについて質問したものです。
現状の把握を目的としたものですが、設問中のいくつかは、NIST SP800-63-3 において、非推奨とされているものがあります。無論、ここで〇と回答したものが誤りであるということではなく、現在、機関で定められている規程類に該当する記述がある場合、それは守られるべきものです。注視すべきは、策定時には正しいとされていたものが、取り巻く制度的、あるいは技術的状況によって変化していく可能性があるという点です。規程類は一度定めたらそれでよいものではなく、継続的なメンテナンスを行っていく必要があるものだということを、ご認識いただきたいと思います。また、5 のアカウ
ントロックについては最近の Shibboleth IdP では設定により有効化できるようになっているなど、システムの機能についても固定的なものではないと捉え、定期的に見直していただくことを推奨しま
す。

Q-38

Q-44

11

6 IdP の設定・運用管理
ここからは、IdP の設定と運用管理について、主に技術的な側面からの設問となります。設定ファイルの管理、稼働するミドルウェア群のアップデート状況、そしてサポートが終了した Shibboleth IdPversion 3 系統から 4 系統へのアップグレード状況について質問しています。
まず設定ファイルの管理（Q32）は、機関内での管理が 151 件（56%）、設定変更を都度外部に依頼しているとしたものが 101 件（37％）と、どちらも前年とほぼ同等の割合でした。IdP の設定ファイルは適切な管理（現状の最新版はどれで、現在 IdP に反映されているものはどれか？など）と設定変更が行えるようになっていれば問題はありません。IDaaS での管理も同様です。管理体制が不明という回答が 3 件だけありましたが、これは通常ありえることではありません。IdP の運用管理部局に確認するなどして、適切な取り扱いができるよう、管理体制を明確にしておく必要があるでしょう。
Q48 は、学認事務局からお知らせしている、Shibboleth の稼働に必要なミドルウェア群の脆弱性情報への対応状況を質問したものです。総じて 8 割程度の機関で、アップデート済みもしくは年度内に対応予定とされています。多くの機関で対応いただけている状況が見られます。一方、対応状況が不明であるとの回答が一定数あります。ソフトウェアの既知の脆弱性を突かれ、情報漏洩につながった事例が何件も報道されており、対応の遅れが甚大な被害につながるケースを目にしたことと思います。
IdP に限らないことですが、管理下にあるサーバで稼働するソフトウェア群のバージョンやアップデート状況を把握できるよう努めていただきたいと思います。
なお学認事務局からは、Shibboleth とその動作に関連したミドルウェアについての情報提供のみを実施しており、それ以外の脆弱性等については提供しておりません。管理対象が多すぎて手が回らない、といった状況にあるなら、脆弱性スキャナーを用いたチェックの自動化をご検討ください。
また、長期的にみて、脆弱性のアナウンス件数は増加傾向にあります。調査実施以降も、学認事務局よりご案内してきました。事務局からの情報に、引き続き注視していただきたいと思います。
Q49 は、調査実施時点ですでにサポートが終了していた、Shibboleth IdP version 3 系統から、現行の Version 4 系統へのアップグレード状況についての質問です。調査実施時点でもまだ、46 の IdP で古いバージョンの Shibboleth IdP が稼働しているようです。
当然の話ですが、サポートが終了したソフトウェアを使い続けることは望ましくありません。
Shibboleth IdP version 2 および 3 においては、今後アップデートおよび脆弱性情報は提供されないと明言されています。例外的に Version 2 は例外的に出された脆弱性情報1により脆弱性があることが確定しておりますが、これは Version 3 に脆弱性がないことを意味しておらず、EOL からの年月を考えれば別の脆弱性が存在することは十分考えられます。また、学認事務局からの技術情報は基本的にVersion 4 に対して提供しており、古いバージョンは対象としません。
アップグレードが完了していない機関、アップグレード予定はないと回答した機関は、こうした状況を鑑み、是非アップグレードを実施してください。

1

https://www.gakunin.jp/ml-archives/upki-fed/msg01353.html 参照
12

Q-32

13

Q-48

14

Q-49

本調査にご協力いただき、ありがとうございました。

15